「情報漏えい、当社に関係なし」の嘘（第6回）総務省が自治体情報セキュリティー対策の強化を提言

　業務システム用とインターネット用のそれぞれに対応するネットワークと端末を用意すれば、万一、インターネット用端末がウイルス感染などの被害に遭っても業務システムは保護できる。だが、従業員（職員）全員に業務システム用とインターネット接続用として、物理的に2台のパソコンを用意するのは現実的ではない。また、業務システムとインターネット閲覧などの両方のシステムを利用する必要がある従業員（職員）もいることから、担当者ごとに利用する端末を決めることも難しい。

　こうした問題を解決する方法としては、仮想化技術を利用する方法がある。例えば、インターネット接続は仮想化された端末を利用して、業務システム用端末に画面情報のみ転送するという仕組みだ。万一、仮想化された端末が攻撃を受けてウイルス感染しても、仮想デスクトップ環境では端末に直接データを保存しないため、攻撃から社内システムを保護できる。また、従業員は物理端末1台で、インターネットも業務システムも利用でき、スペースの効率化にもなる。

　仮想化端末の方式には、一人ひとりにデスクトップ環境を用意するVDI方式、1つのサーバーを複数人で利用するSBC方式、ブラウザーなどのアプリケーションのみを配信するアプリケーション仮想化といった方法がある。社内での利用用途や費用面から導入を検討するといいだろう。

拠点ごとのインターネット接続口を集約

　また、総務省では「自治体情報セキュリティクラウド」の検討を提言している。これは各市町村のインターネット接続口を都道府県が集約し、セキュリティー対策機器の導入や監視を一括して行うことにより、高度なセキュリティー対策を実施する取り組みだ。従来、各市町村は個々に対策を実施していた。この取り組みでは、より高度な対策を集約して実施することで、全体的にセキュリティーレベルの底上げができる。

　こうした考え方は、企業の情報セキュリティー対策としても有効だ。拠点ごとにインターネットへ接続している場合、拠点の数だけセキュリティー機器などの設置が必要になり、機器と運用管理の負荷がかさむ。そこで、各拠点をVPN（仮想閉域網）などで結び、本社にインターネット接続口を一元化する。これにより、高度なセキュリティー対策が実現し、全社的にセキュリティーレベルを高められる。

　ここ数年で自治体の情報セキュリティーレベルが上がるのは間違いない。攻撃者は対策が弱いところを狙ってくる。対策が不十分だと、より狙われやすくなる可能性がある。ビジネス継続のために、今やセキュリティー対策の強化は経営者の責務といっていい。紹介した自治体の情報セキュリティー対策は、より高度な優れた手法である。これらを参考に、自社の情報漏えい対策の在り方を再点検してみてはどうだろうか。